NIS 2‑loven i Danmark: hvad leverandører skal vide om den

Det sker, at leverandører får kravene fra kunderne uden at have læst loven, de bygger på. Det gør det svært at skelne mellem det, loven kræver af kunden, og det, kunden selv har valgt at kræve af jer. Svaret hviler på lovteksten: lov nr. 434 af 6. maj 2025 om foranstaltninger til sikring af et højt cybersikkerhedsniveau, kaldet NIS 2-loven, som ifølge § 33, stk. 1, trådte i kraft den 1. juli 2025.

Kort sagt gælder loven for de enheder i sektorerne i bilag 1 og 2, der opfylder lovens kriterier. Den pålægger dem sikkerhedsforanstaltninger, hændelsesunderretning og registrering, og den giver myndighederne tilsynsbeføjelser. Er I ikke selv omfattet, rammer loven jer kun gennem kunden. Er I fx en MSP eller en cloududbyder, kan loven gælde jer direkte.

Loven i hovedtræk

Lovens fulde titel er lov om foranstaltninger til sikring af et højt cybersikkerhedsniveau, og loven kalder sig selv NIS 2-loven. Andre navne kan dukke op i kundebreve og på nettet. Henvis til lov nr. 434 af 6. maj 2025, så I og kunden taler om den samme tekst.

Loven gennemfører NIS2-direktivet, (EU) 2022/2555, og er bygget op i kapitler. Set fra en leverandør er disse dele de vigtigste:

Kapitel 1 · anvendelsesområde, definitioner og reglerne om væsentlige og vigtige enheder (§§ 1 til 5).
Kapitel 2 · foranstaltningerne i § 6, ledelsesorganets godkendelse i § 7 og certificering i § 8.
Kapitel 3 og 4 · registrering (§§ 9 og 10), underretning om væsentlige hændelser (§§ 12 og 13) og besked til modtagerne af tjenesterne (§ 15).
Kapitel 5 · den nationale CSIRT’s opgaver, fx proaktiv scanning efter anmodning (§ 17) og anonym rapportering af sårbarheder (§ 18).
Kapitel 6 · tilsyn og håndhævelse (§§ 20 til 26).

Hvem loven gælder for

§ 1 siger, at loven gælder for offentlige og private enheder i bilag 1 og 2. Bilag 1 dækker sektorer af særlig kritisk betydning, fx energi, transport, sundhed, drikkevand, digital infrastruktur og forvaltning af ikt-tjenester. Bilag 2 dækker andre kritiske sektorer, fx fødevarer, kemikalier, dele af fremstillingsindustrien og affaldshåndtering. → Bilag 1 og 2

§§ 4 og 5 afgør, om en enhed er væsentlig eller vigtig. Skellet bygger blandt andet på størrelse og sektor og har betydning for, hvordan tilsynet foregår. → Væsentlige og vigtige enheder

§ 1, stk. 2, undtager enheder, i det omfang de er omfattet af lov om styrket beredskab i energisektoren, lov om sikkerhed og beredskab i telesektoren, og enheder udpeget efter § 333, stk. 1, i lov om finansiel virksomhed. En kunde i de sektorer kan altså bygge sine krav på andre regler. → Energi, tele og finans

Når I selv kan være omfattet

Bilag 1, punkt 8 og 9, nævner blandt andet udbydere af cloudcomputingtjenester, datacentertjenester, administrerede tjenester og administrerede sikkerhedstjenester. § 3, nr. 34, definerer en udbyder af administrerede tjenester bredt som en enhed, der installerer, administrerer, driver eller vedligeholder ikt-produkter, net eller systemer, enten hos kunden eller på afstand.

For de udbydere gælder § 9 om registrering, og § 33, stk. 3, satte fristen for de første oplysninger til 1. oktober 2025. Om jeres virksomhed falder ind under definitionen, kræver sin egen vurdering, som dette site ikke foretager. → MSP og NIS2 · → Er vi selv omfattet?

Paragrafferne, der bliver til krav om test

§ 6, stk. 1, opregner ti foranstaltninger. Tre af dem kan forklare de testkrav, leverandører møder: nr. 4 om forsyningskædesikkerhed, nr. 5 om sikkerhed ved erhvervelse, udvikling og vedligeholdelse, herunder håndtering af sårbarheder, og nr. 6 om politikker og procedurer til at vurdere foranstaltningernes effektivitet. → NIS 2-lovens § 6

§ 7 kræver, at kundens ledelsesorgan godkender foranstaltningerne og fører tilsyn med dem. Det forklarer, hvorfor et krav til jer kan komme fra kundens direktion. Ledelsesansvaret som helhed hører ikke til dette site.

§ 6, stk. 2, siger desuden, at en enhed, der ikke lever op til kravene, uden unødigt ophold skal træffe de nødvendige korrigerende foranstaltninger. Når kunden sætter frister for rettelse af fund i jeres aftale, kan det være kundens måde at kunne vise netop det på. Selve fristen er en aftale mellem jer og ikke noget, loven fastsætter for leverandører.

Hændelser og kundens frister

§§ 12 og 13 pålægger kunden at underrette myndigheden og CSIRT’en om væsentlige hændelser, med en tidlig varsling senest 24 timer efter, at kunden har fået kendskab til hændelsen, og en hændelsesunderretning senest 72 timer efter. Fristerne gælder kunden. Hvis en hændelse begynder hos jer, kan kunden dog have brug for besked hurtigt for at nå dem, og det er grunden til, at aftaler kan indeholde en beskedpligt. → Kundens 24 timer

To andre bestemmelser er værd at kende, selv om I ikke er omfattet. § 14 giver enheder uden for loven mulighed for frivilligt at underrette CSIRT’en om hændelser, nærvedhændelser og cybertrusler. § 18 pålægger CSIRT’en at sikre, at alle kan rapportere sårbarheder i anonymiseret form. Begge kan få betydning, hvis en test eller en hændelse hos jer afslører noget, der også rammer andre.

Tilsyn med kunden

Ifølge § 20 fastsætter ministeren, hvilken myndighed der er kompetent for hver sektor. § 21 giver myndighederne mulighed for blandt andet kontrol på stedet, sikkerhedsaudits, sikkerhedsscanninger og krav om dokumentation over for væsentlige enheder. Over for vigtige enheder er tilsynet efter § 24 reaktivt og sker efter indikationer på, at loven ikke er overholdt. → Tilsynets audits og scanninger

Et tænkt eksempel: En kommune modtager en spørgeramme fra sin myndighed om foranstaltningerne. Kommunen skal svare på, hvordan den håndterer leverandører, og spørger derfor sin leverandør af et fagsystem om den seneste test. Leverandøren er ikke omfattet, men kommunens pligt efter § 6 lander alligevel som et spørgsmål hos leverandøren.

Det skal I lade være med

At læse loven som en pligt for jer, hvis I ikke er omfattet · kravene kommer da fra aftalen.
At gå ud fra, at I ikke er omfattet, fordi I er leverandør · MSP, cloud og datacentre kan være det.
At overtage kundens frister · aftal en beskedpligt, ikke kundens pligt over for myndigheden.
At citere loven fra andenhånd · læs paragraffen på retsinformation.dk, før I bygger et svar på den.
At bruge en test som bevis for, at loven er overholdt · den dokumenterer en afgrænset undersøgelse.

Hvad kan og ikke kan konkluderes

Loven viser, hvilke pligter kunden har, og hvorfor de fører til spørgsmål til leverandører. Den fastsætter ikke, hvad en bestemt kunde skal kræve af jer, og den nævner ikke penetrationstest i selve paragrafferne. Om I selv er omfattet, kræver en særskilt vurdering. Teksten er ikke juridisk rådgivning.

Tjekliste til loven

☐ Ved I, om kunden er omfattet af NIS 2-loven eller af en sektorlov?
☐ Har I vurderet, om I selv kan være omfattet efter bilag 1, punkt 8 eller 9?
☐ Er kundens krav koblet til en bestemt paragraf?
☐ Er kundens frister skilt fra jeres egen beskedpligt?
☐ Har I læst de relevante paragraffer i lovteksten?

Kilder

NIS 2-loven, lov nr. 434 af 6. maj 2025: §§ 1 til 7, 9, 12 til 14, 17, 18, 20, 21, 24 og 33 samt bilag 1 og 2.
NIS2-direktivet (EU) 2022/2555: det direktiv, loven gennemfører.

Senest gennemgået: oktober 2026.